中国黑客发现Safari大量漏洞 收益超过25万美元

　　据外国媒体报道，《福布斯》网站今天发布文章称，来自中国上海的安全研究员吴石（Wu Shi）已经跨入全球顶尖的浏览器漏洞发现者之行列。也许他的研究会让苹果获得很大的启示。

以下为全文：

　　如果说“严厉的爱”是解决全球软件故障的最佳良方，那么吴石或许也可称为信息安全领域诸多的无名英雄之一。

　　自2007年以来，这位35岁的上海研究员已经发现并报告了IE、Safari和Chrome等浏览器中存在的100多个严重漏洞。如果用户浏 览被感染的网页时，黑客就可以借助这些漏洞劫取用户电脑中信息。仅在去年一年，他就将其中的50多个漏洞卖给了Zero Day Initiative和iDefense等漏洞购买组织，这两个组织分别归属于惠普和VeriSign，他们专门花钱从研究人员那里购买漏洞信息，并在安 全产品中使用这些数据，随后再将其交给受影响的软件销售商。

　　这些数据表明吴石在仅一年中提供给ero Day Initiative和iDefense的漏洞比全球任何一个研究人员都多，其中超过一半以上的漏洞都来自苹果Safari浏览器。例如，在上月的一次安 全更新中，苹果针对iPhone操作系统发布了64个新补丁，其中只有6个漏洞是苹果自已的研究人员所发现，12个由Google研究人员发现，另外15 个则是由吴石发现。

　　对此，安全专家查理-米勒(Charlie Miller)表示：“或许苹果应当聘请吴石来帮助他们，因为他发现的漏洞比苹果整个安全团队发现的两倍还多。”

独特的fuzzing算法：

　　吴石通过即时通讯和电子邮件解释了他是如何使用一种叫做“fuzzing”的方法来获取这些漏洞。使用此方法时，需要向软件中输入大批经过修改 的文件，以查找哪些文件会导致软件崩溃，然后再对这些崩溃事例进行分析，以便弄清黑客是如何注入代码并控制浏览器。

　　吴石使用其独特的算法来生成拟进行测试的文件，然后再置入他自己的Apache Tomcat服务器，这样，其就可以获得更快的频率，来比普通研究人员测试更多的样本。吴石表示，其方法与更改文件中的单一变量不同，他的方法会更改整个 样本，而且能够在进行尽可能多的更改情况之下，仍能够让浏览器将文件识别为HTML文档。吴石表示：“我的fuzzing框架关注的是软件架构，而不是细 节。”

　　据ZDI研究部门经理阿伦-波托尼(Aaron Portnoy)对吴石发现的漏洞进行研究后表示，吴石不会对他所发现的漏洞进行深入分析。但他认为，这名中国研究员使用的方法可以捕捉到其它方法所无法 发现的漏洞。“这些文件中的相关项目有着复杂的层次结构，但他可以改变复杂的关系树结构的工作方式，而不仅仅是其中的某一项目。”波托尼说，“很多人只是 fuzz数据，而他则是fuzz数据间的关系。”

职业受挫转行：

　　吴石称其是经过了一系列的工作失败经历之后才在发现漏洞方面实现了突破。当2006年中国股市开始暴涨时，吴石当时仍在一家小型IT公司任职， 其感觉当时的职业就像是一艘正在下沉的船，并因此感到绝望之极。当时的薪水甚至难以让吴石养家度日。

　　吴石后来从那家IT公司辞职，并创建了一家基于P2P文件共享技术公司。但是当一家大客户拒绝为一个主要项目支付报酬时，吴石的合作伙伴找也就 离职而去，这样其公司也遭遇破产。之后，吴石开始组建一家安全咨询公司，并实验他多年前在复旦大学读书时就曾设想的一个fuzzing方法。他发现了微软 的一些安全漏洞，并且直接报告给微软。在这之后，他才从一位朋友口中得知了ZDI这样“购买漏洞”的组织。从此以后，吴石就成为一名全职漏洞猎手 。

　　这种寻找漏洞的经历已经颇具收获。ZDI从吴石那里购买了50个漏洞，每个价格至少5000美元，而iDefense也偶尔支付过1万多美元， 购买了少量的漏洞。吴石没有透露至今为止在此方面的具体收益数量，但简单计算即可知道，其在此方面的收益应当超过25万美元，这在中国可算是一笔不小的数 目。ZDI还为吴石授予“白金 (platinum status)”奖，该奖项的获得者可以拿到2万美元的奖金，并免费参加在美国拉斯维加斯举行的“黑帽”(Black Hat)安全大会。

苹果安全意识欠佳：

　　一个中国研究员能够掌握数百个重要漏洞，此消息的确令一些公司感到担忧。但吴石表示，他只会将漏洞卖给那些“不做坏事”的企业，而且会直接将漏 洞报告给受影响的软件公司。他表示，曾有黑市买家愿意支付比ZDI资金多10倍的价格来购买其发现的一些IE漏洞，吴石都表示，其不会冒任何风险而卷入犯 罪之争。

　　即便如此，吴石发现如此多的漏洞也可能会产生麻烦，特别是对苹果软件更是如此。吴石表示，他之所以关注苹果软件漏洞，是因为苹果本身一直不太关 注这一问题（苹果目前未对此事发表评论意见）。

　　近十年来，微软一直在与网络攻击进行斗争，从而不断的稳固其软件。吴石列举称，2001年“红色代码”蠕虫病毒曾感染了成千上万台电脑，并侵犯 了诸多网站，一些被黑的网站还打出“中国黑客攻击”的字语，但是，多年以来，苹果因为一度被网络黑客忽视而自鸣得意和自以为安全无事。